Kui ettevõte ostab küberturvalisuse lahendust, kuuleb ta tavaliselt kolme lühendit: EDR, XDR ja MDR. Müüjad kasutavad neid, nagu oleksid need iseenesestmõistetavad, ning juht või finantsdirektor jääb küsimusega üksi: kas vajame kõiki kolme või piisab ühest ning mille poolest see erineb viirusetõrjest, mille eest juba maksame?
Küsimus on oluline mitte ainult tehnilistel põhjustel. NIS2 ja DORA nõuavad ettevõtetelt mitte ainult kaitse olemasolu, vaid ka tõendamist, et intsidente avastatakse ja neile reageeritakse. Paigaldatud programm seda ei tõenda. Keegi peab jälgima, mida see näitab, ja reageerima, kui see läheb punaseks.
Selles artiklis selgitame, mida iga lühend tegelikult tähendab, kus ühe lahenduse võimalused lõpevad ja järgmise omad algavad ning kuidas valida umbes 50 töötajaga ettevõttele, kellel pole eraldi turvameeskonda.
Viirusetõrje ja EDR ei ole üks ja sama
Klassikaline viirusetõrje võrdleb faile teadaolevate pahavarade signatuuridega ja blokeerib selle, mida ära tunneb. See toimib massiliselt levitatud, ammu tuntud ohtude vastu. See ei toimi enam ründajate vastu, kes kasutavad legitiimseid süsteemitööriistu, näiteks PowerShelli, kaughalduse tarkvara ja tavalisi administraatoriskripte, ega jäta maha faili, mida signatuuriga ära tunda saaks.
EDR (Endpoint Detection and Response) ei vaata faile, vaid käitumist. Tööjaamas või serveris olev agent salvestab protsesse, võrguühendusi ja registrimuudatusi ning otsib kahtlasi jadasid: näiteks Wordi dokument käivitab käsurea, mis laadib alla faili ja üritab varukoopiaid välja lülitada. Iga samm ise tundub süütu, kuid jada ei ole.
EDRi teine oluline osa on reageerimine. Konsoolis saab arvuti võrgust isoleerida, protsessi lõpetada, muudetud failid tagasi pöörata ja näha kogu sündmuste ahelat: kus see algas ja mida puudutati. Viirusetõrje seda ei näita, see teatab ainult „tuvastatud ja eemaldatud“.
Praktiline tagajärg: EDR tekitab palju rohkem teavet kui viirusetõrje. Kui seda teavet keegi ei loe, muutub EDR lihtsalt kallimaks viirusetõrjeks.
XDR: kui ühest seadmest ei piisa
XDR (Extended Detection and Response) laiendab sama põhimõtet tööjaamast kaugemale. E-posti, identiteedisüsteemi (näiteks Microsoft Entra ID), võrguseadmete, pilveteenuste ja serverite andmed ühendatakse üheks vaateks.
Miks see oluline on? Tüüpiline tänapäevane intsident ei alga arvutist. Kõigepealt saab töötaja e-kirja, siis sisestab parooli võltssisselogimislehele, seejärel logib ründaja teisest riigist Microsoft 365 keskkonda sisse ja alles mõne päeva pärast ilmub midagi tööjaamas. EDR näeb ainult viimast sammu. XDR seob kõik neli üheks sündmuseks ja näitab, et tegemist on ühe rünnakuga, mitte nelja omavahel seostamata hoiatusega.
Bitdefender GravityZone, SentinelOne ja CrowdStrike pakuvad täna kõik XDR-kihti EDRi laiendusena. Nende erinevus seisneb selles, milliseid allikaid nad ilma lisatööta ühendavad ja kui palju seadistamist on vaja. Nende kolme platvormi valikust kirjutame eraldi artiklis.
Oluline nüanss: XDR suurendab infovoogu veelgi. Mida rohkem allikaid, seda rohkem seoseid ja seda rohkem hoiatusi, mida keegi peab hindama.
MDR: inimesed, kes jälgivad ööpäevaringselt
MDR (Managed Detection and Response) ei ole tehnoloogia, vaid teenus. Pakkuja turvaanalüütikute meeskond jälgib EDRi või XDR-platvormi hoiatusi ööpäevaringselt, eristab päris intsidendid valedest, reageerib (isoleerib seadme, blokeerib konto) ja võtab teiega ühendust ainult siis, kui on vaja teie otsust.
Miks on see eraldi teenus? Sest ründajad töötavad öösel ja nädalavahetustel, just siis, kui teie IT-spetsialist konsooli ei vaata. Lunavararünnakud käivitatakse tavaliselt reede õhtul, et esmaspäeva hommikuks oleks võimalikult palju krüpteeritud. EDR, mis näitab reede õhtul punast hoiatust ilma, et keegi seda vaataks, intsidenti ei peata.
MDRi võib pakkuda platvormi tootja ise või teie IT-tugipartner tootja tööriistadega. Mõlemad variandid on mõistlikud, vahe on selles, kui hästi pakkuja teie keskkonda tunneb. Tootja analüütik näeb ainult hoiatusi, partner, kes teie servereid haldab, teab, et raamatupidamisserveri öine skript ei ole rünnak, vaid kuu lõpu sulgemine.
Kuidas valida ettevõtte suuruse ja meeskonna järgi
Valiku määrab mitte suurus, vaid see, kes hoiatusi loeb ja millal. Meie kogemuse järgi võib ettevõtted jagada ligikaudu nii.
Kuni 20 töötajat, IT-spetsialisti ei ole
Vajate EDRi koos hallatud seirega. Te ei vaja konsooli, vaid kedagi, kes seda jälgib ja reageerib. Siin on MDR tavaliselt IT-tugiteenuse osa, mitte eraldi ostetav.
20 kuni 100 töötajat, üks IT-spetsialist või väline partner
Tüüpiline 50 töötajaga ettevõte. IT-spetsialist on hõivatud igapäevase kasutajatoega ning tal pole aega (ja sageli ka erialast ettevalmistust) turvahoiatusi uurida. Vajate EDRi ning kui kasutate Microsoft 365, siis XDRi identiteedi ja e-posti signaalidega, lisaks partneri MDRi. Ettevõttesisene spetsialist jääb otsustajaks, mitte valvekorras jälgijaks.
Üle 100 töötaja või reguleeritud tegevusala
Kui teil on NIS2 või DORA kohustused, muutub XDR vajalikuks, sest peate tõendama, et intsidente avastatakse kogu taristus, mitte ainult arvutites. MDR selge SLA ja intsidendiaruannetega on see, mida auditil näitate.
| Küsimus | Viirusetõrje | EDR | XDR | MDR |
|---|---|---|---|---|
| Blokeerib teadaolevad viirused | Jah | Jah | Jah | Jah |
| Näeb kahtlast käitumist | Ei | Jah | Jah | Jah |
| Seob e-posti, identiteedi, serverid | Ei | Ei | Jah | Sõltub platvormist |
| Kes reageerib öösel | Mitte keegi | Teie IT | Teie IT | Pakkuja analüütikud |
Mida hõlmab MDP CLOUD haldus
Meie IT-tugiteenuses ei ole turvaseire eraldi rida. Paigaldame EDRi või XDRi agendi igasse tööjaama ja serverisse (Bitdefender GravityZone, SentinelOne või CrowdStrike, olenevalt kliendi keskkonnast), meie meeskond jälgib hoiatusi ning reageerimine algab 30 minuti jooksul.
Konkreetselt tähendab see:
- agendi paigaldamine ja poliitikate seadistamine vastavalt ettevõtte töö iseloomule, et legitiimseid rakendusi ei blokeeritaks;
- hoiatuste läbivaatus ja valepositiivsete eristamine, et klient saaks ainult selle, mis nõuab tema tähelepanu;
- seadme isoleerimine ja konto blokeerimine pärast intsidendi kinnitamist, enne kui me kliendile helistamegi;
- igakuine aruanne tuvastatud sündmustest, mille saab lisada NIS2 või DORA dokumentatsioonile;
- koordineerimine varukoopiatega, et pärast intsidenti oleks millest taastada.
Serverite puhul kehtib sama meie serverite halduse teenuse kaudu ning meie pilveserverid renditakse GravityZone kaitsega, mis on juba paigaldatud.
Kust alustada
- Kontrollige, mis on praegu paigaldatud: viirusetõrje või EDR. Kui te ei tea, on see tõenäoliselt viirusetõrje.
- Vastake küsimusele, kes näeb hoiatust laupäeval kell 3 öösel. Kui vastus on „keegi“, siis puudu ei ole tehnoloogiast, vaid MDRist.
- Kirjutage üles, kus teie andmed asuvad: arvutid, serverid, Microsoft 365, pilveteenused. Kui need ei ole ainult arvutites, kaaluge XDRi.
- Kui tegutsete reguleeritud sektoris, kontrollige, kas teie praegune lahendus annab aruandeid, mida saab auditil näidata.
- Võtke meiega ühendust. Hindame teie praegust keskkonda ja pakume, mis kuulub IT-toe hulka ilma lisadeta, ning valime Bitdefender GravityZone või mõne muu platvormi litsentsid teie seadmete arvu põhjal.
